遭遇Trojan.PSW.JHOnline,Trojan.Spy.Agent等之后

深藏阁楼爱情的钟 2024-02-17 13:47 14阅读 0赞

**endurer** 原创  
2007-01-03 第**1**版

一位网友的**电脑**在查杀病毒后，启动时进入桌面前有出错提示音。让偶通过QQ远程协助检修。

到 [http://endurer.ys168.com][http_endurer.ys168.com] **下载**了 HijackThis 扫描 log，未见异常。

用pe\_xscan扫描，发现可疑服务项：  
/----  
pe\_xscan by Purple Endurer  
2007-2-3 11:21:4  
Windows XP Service Pack 2(5.1.2600)  
管理员用户组

O23 - 服务: WinDHCPsvc (Windows DHCP Service) - C:/WINDOWS/system32//rundll32.exe windhcp.ocx,input(自动启动)  
\----/  
到注册表里删除了。

从病毒隔离区里恢复了三个病毒文件。  
  
**1）tian.exe**  
 采用PECompact 2.x -> Jeremy Collake加壳。  
/----  
文件说明符 : d:/test/tian.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-2-3 11:34:23  
修改时间 : 2007-2-3 11:34:24  
访问时间 : 2007-2-3 0:0:0  
大小 : 46592 字节 45.512 KB  
MD5 : 752b10c91caa7e768d11c8fcfcf5dba1  
\----/  
Kaspersky 报为 **Trojan.Win32.Agent.abf**  
**瑞星** 报为 **Trojan.PSW.JHOnline.fbd**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">tian.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>tian.exe - infected by <a href="http://www.viruslist.com/en/find?words=Trojan.Win32.Agent.abf" rel="nofollow"><font>Trojan.Win32.Agent.abf</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">264433</td> 
       <td align="right">Updated:</td> 
       <td align="left">03-02-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">46</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> <p>&nbsp;</p> <p><strong><font>2）j.exe<br></font></strong>采用Microsoft Visual C++ 6.0开发。<br>/----<br>文件说明符 : d:/test/j.exe<br>属性 : A---<br>获取文件版本信息大小失败!<br>创建时间 : 2007-2-3 11:52:23<br>修改时间 : 2007-2-3 11:52:24<br>访问时间 : 2007-2-3 0:0:0<br>大小 : 13824 字节 13.512 KB<br>MD5 : 47183f2e3f3252c73286862f31d1ee4c<br>----/<br>会在注册表的Run键中创建启动项<br>对瑞星注册表监控提示窗口，模拟点击按钮“允许”和“跳过”<br>启动后搜索标题为AVP.AlertDialog的 Kaspersky&nbsp;的警告窗口，模拟点击按钮“允许”和“跳过”<br>向 Kaspersky&nbsp;的通知窗口(类名为：AVP.Product_Notification)发送WM_CLOSE消息结束该窗口。<br>运行cmdbc.exe，装载cmdbc.dll<br>创建远程线程注入explorer.exe进程<br>设置hook程序获取网游《江湖》帐号密码</p> <p>Kaspersky 报为 <strong><font>Trojan-PSW.Win32.OnLineGames.es</font></strong><br>瑞星 报为 <strong><font>Trojan.PSW.Agent.iwx</font></strong><br></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">j.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>j.exe - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.es" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.es</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">264433</td> 
       <td align="right">Updated:</td> 
       <td align="left">03-02-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">14</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

**3）windhcp.ocx**  
采用 PeCompact v2.08->Bitsum Technologies(signature by loveboom) 加壳。  
/----  
文件说明符 : d:/test/windhcp.ocx  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-2-3 11:28:15  
修改时间 : 2007-2-3 11:28:16  
访问时间 : 2007-2-3 0:0:0  
大小 : 41984 字节 41.0 KB  
MD5 : 24a46bea179948ac35e66cdd885306c6  
\----/

Kaspersky 报为 **Trojan.Win32.Agent.abf**  
瑞星报为：**Trojan.Spy.Agent.cns**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">windhcp.ocx <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>windhcp.ocx - infected by <a href="http://www.viruslist.com/en/find?words=Trojan.Win32.Agent.abf" rel="nofollow"><font>Trojan.Win32.Agent.abf</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">264437</td> 
       <td align="right">Updated:</td> 
       <td align="left">03-02-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">41</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

[http_endurer.ys168.com]: http://endurer.ys168.com/